IBM公司近日发布了一款全新的云主权工具，旨在帮助企业在AI部署加速扩展至混合云与多云环境的背景下，有效验证合规性、强化运营管控并完善治理机制。

IBM云主权风险画像（IBM Cloud Sovereignty Risk Profile）的核心功能，是为组织提供更清晰的可见性视图，涵盖工作负载的运行位置、数据保护方式，以及运营管控措施是否符合监管要求。

此次发布折射出企业界对数字主权问题日益强烈的关切。随着AI系统的部署跨越多个司法管辖区、云服务商和数据来源，治理难度持续攀升。IBM援引其商业价值研究院与迪拜未来基金会联合开展的最新研究指出，93%的高管认为主权合规必须纳入企业战略；然而，不足三分之一的受访者清楚AI工作负载的实际运行位置，仅有18%的企业建立了完整的AI系统资产清单。

IBM表示，这款新工具旨在填补上述可见性空白，通过持续监控云工作负载，提供运营管控有效运转的可验证证据。主权风险画像已集成至IBM安全与合规中心工作负载保护平台，助力组织统一管理混合云环境下的合规与安全事务。

该产品是IBM数字主权整体战略的组成部分，该战略围绕四大原则构建：可证明性、预防性、隐私性与可移植性。

在可证明性方面，IBM将其定义为企业有能力向外部验证自身符合监管要求。该工具可帮助组织评估数据驻留、加密、韧性及运营独立性等维度的风险，并生成面向监管机构和利益相关方的审计就绪证据。

预防性原则聚焦于加密技术与客户对密码密钥的自主管控。IBM强调，主权合规的关键在于云服务商无法访问企业数据，即便面临政府要求也不例外。为此，IBM重点推介其"自持密钥"（Keep Your Own Key）技术，允许客户通过经联邦信息处理标准FIPS 140-3 4级认证的硬件，对加密密钥实施独占控制。

隐私性原则关注部署灵活性。IBM表示，企业越来越需要能够将工作负载限定在特定司法管辖区或本地运营管控范围内的部署方案。IBM云支持多种部署模式，包括专属多可用区区域、单租户环境，以及在部分国家与本地运营商建立的合作伙伴关系。

第四项原则——可移植性——则着眼于开源技术与互操作性。IBM云大量依托Red Hat OpenShift、Kubernetes及开放接口，使客户能够在公有云、私有云和本地环境之间自由迁移工作负载，避免被单一供应商绑定。

IBM将主权合规定位为一项日趋紧迫的议题，尤其是在企业大规模扩展AI部署、数据管理实践面临更严格监管审查的当下。

"各方领导者承受着越来越大的压力，需要说清楚数据存放在哪里、系统如何运行，以及谁对关键工作负载拥有最终控制权，"IBM云业务总经理艾伦·皮科克（Alan Peacock）在一篇博文中写道，"然而，回答这些问题所需的可见性，至今仍难以实现。"

此次发布距IBM推出Sovereign Core软件平台不久。Sovereign Core旨在帮助组织构建具备AI就绪能力的主权云环境，同时确保运营管控权不旁落。

随着各国政府和受监管行业对AI治理的审视力度不断加强，云服务商纷纷加速引入主权相关功能。IBM认为，大规模采用AI的企业，必须对数据位置、加密方式、访问策略和运营独立性拥有直接管控权，才能切实满足新兴监管与安全要求。

Q&A

Q1：IBM云主权风险画像是什么？它能解决什么问题？

A：IBM云主权风险画像是IBM新推出的云主权管理工具，集成于IBM安全与合规中心工作负载保护平台。它能够持续监控云工作负载，帮助企业了解数据存放位置、加密状态及运营管控是否合规，并生成可供监管机构查阅的审计证据，填补企业在AI工作负载可见性方面的空白。

Q2：IBM数字主权战略的四大原则是什么？

A：IBM数字主权战略围绕四大原则构建：可证明性（能够向外部验证合规状态）、预防性（通过加密和自持密钥技术防止未经授权的数据访问）、隐私性（支持灵活部署以满足数据本地化要求）、可移植性（基于开源技术避免供应商锁定，支持工作负载跨环境迁移）。

Q3：目前企业在AI工作负载管理上面临哪些主要挑战？

A：根据IBM商业价值研究院与迪拜未来基金会的联合研究，93%的高管认为主权合规必须纳入企业战略，但现实情况不容乐观：不足三分之一的企业知道AI工作负载实际运行在哪里，仅有18%的企业维护着完整的AI系统资产清单，显示出企业在AI治理可见性方面存在严重不足。